Yuval Sprintz, de 17 años, fue premiado con 1 250 dólares por hallar un incumplimiento en la plataforma basada en el navegador de la aplicación de mensajería instantánea, lo que permite a los usuarios agregar números telefónicos falsos a chats grupales y agregar usuarios bloqueados de vuelta al grupo.
El estudiante de bachillerato israelí Yuval Sprintz, del moshav norteño de Tzurit, descubrió recientemente una brecha de seguridad en la aplicación de mensajería instantánea WhatsApp y la denunció a Facebook, propietaria de la popular aplicación. La red social luego arregló la violación y le otorgó al adolescente un premio de 1 250 dólares.
Sprintz, de 17 años, está en su último año de escuela pero simultáneamente estudia para obtener un título en Ciencias de la Computación en la Universidad de Haifa. También participó en el Programa Alpha del Davidson Institute of Science Education, destinado a hombres y mujeres jóvenes dotados. El Davidson Institute es el brazo educativo del Weizmann Institute of Science.
Hace unos meses, Yuval estaba trabajando en la preparación de una herramienta de software capaz de fusionar dos grupos de WhatsApp. Como parte del trabajo en el proyecto, profundizó en el código de WhatsApp Web, la plataforma basada en el navegador de la aplicación. “Jugué con algunas funciones e intenté hacer algo genial con ellas”, contó. Lo que terminó encontrando, sin embargo, fue una brecha de seguridad que permite agregar números de teléfono falsos a un grupo de WhatsApp que no representan ninguna cuenta real.
Yuval descubrió que al explotar esta brecha, cualquier usuario podría teóricamente agregar tantos otros usuarios reales al grupo como lo considerara oportuno, a diferencia del estado actual en el que solo el administrador de un grupo puede agregar nuevos usuarios, incluso los previamente bloqueados del grupo.
Otro subproducto del incumplimiento fue la capacidad de agregar usuarios falsos con un número de teléfono excepcionalmente largo, lo que puede llevar a que la aplicación se bloquee por completo en ciertos teléfonos inteligentes. Sprintz contactó a Facebook utilizando el programa Bug Bounty de la red social a fines de septiembre. El programa permite a los especialistas independientes en seguridad de la información notificar las violaciones de seguridad a Facebook por una recompensa monetaria. Sprintz usó el programa para enviar los detalles de la violación que había descubierto.
“Comencé a mostrar interés en la seguridad de la información a una edad muy temprana, y aprendí sobre esto mismo a través de Internet”, recordó Sprintz. Si bien los representantes de Facebook tardaron varias semanas en responder, terminaron sellando la brecha con una actualización del programa. El representante de la compañía agradeció a Yuval, lo felicitó por encontrar la violación y le notificó que recibirá una recompensa. Al preguntársele qué planeaba hacer con el dinero, Sprintz respondió: “Hace poco compré una nueva computadora poderosa, por lo que la recompensa puede ser muy útil.”
Facebook comentó sobre su hallazgo, expresando: “Estamos agradecidos de que el asunto haya sido traído a nuestra atención. Solucionamos rápidamente la brecha y otorgamos al investigador un premio a través de nuestro programa Bug Bounty. La vulnerabilidad que encontró podría haber permitido a los usuarios agregar a alguien quien estuvo bloqueado para chatear en grupo. Nos ocupamos del asunto y no sabemos de ningún intento previo de explotarlo.”
El director del programa Alpha, el Dr. Orni Meerbaum Salant, manifestó: “Yuval es un graduado del programa, y pudimos decir que era una persona inteligente y creativa desde su trabajo de investigación de física. Encontrar el incumplimiento de Facebook no fue una sorpresa. El programa para superdotados del Instituto reúne a hombres y mujeres jóvenes de edades similares con un lenguaje y necesidades similares y les permite recibir estimulación intelectual mientras desarrollan habilidades sociales y aprenden a trabajar en equipo.”
Fuente: www.unidosxisrael.org